AnalyticDB:SSL 暗号化の設定

JDK 7 と JDK 8 の設定

JDK 7 または JDK 8 で JKS ファイルを使用する場合は、アプリケーションホストの jre/lib/security/Java.security ファイルで次のプロパティを変更します。

jdk.tls.disabledAlgorithms=SSLv3, RC4, DH keySize < 224
jdk.certpath.disabledAlgorithms=MD2, RSA keySize < 1024

この変更を行わないと、SSL ハンドシェイクは次のエラーで失敗します。

javax.net.ssl.SSLHandshakeException: DHPublicKey does not comply to algorithm constraints

psql

sslmode および sslrootcert パラメーターを使用して SSL で接続します。

psql "host=<your-instance-endpoint> port=<port> dbname=<database> user=<username> sslmode=verify-ca sslrootcert=<path-to-pem-file>"

次のプレースホルダーを置き換えます。

JDBC

Java アプリケーションの場合、SSL パラメーターを JDBC 接続 URL に追加します。

jdbc:postgresql://<your-instance-endpoint>:<port>/<database>?sslmode=verify-ca&sslrootcert=<path-to-pem-file>

PEM ファイルの代わりに JKS ファイルを使用する場合は、トラストストアを JVM 引数として設定します。

java -Djavax.net.ssl.trustStore=<path-to-jks-file> \
     -Djavax.net.ssl.trustStorePassword=apsaradb \
     -jar your-application.jar

sslmode オプション

PostgreSQL クライアントは、次の sslmode 値をサポートしています。

パブリック接続の場合は、verify-ca または verify-full を使用してサーバー証明書を検証し、中間者攻撃を防ぎます。

psql ログインバナーの確認

psql で接続すると、ログインバナーに SSL 接続の詳細が表示されます。出力は次のようになります。

Password for user dbadmin:
psql (14.0)
SSL connection (protocol: TLSv1.2, cipher: ECDHE-RSA-AES256-GCM-SHA384, bits: 256)
Type "help" for help.

SSL connection の行は、接続が暗号化されていることを示します。

接続ステータスのクエリ

すべてのアクティブな接続の SSL ステータスを表示するには、次を実行します。

SELECT datname, usename, ssl, client_addr
FROM pg_stat_ssl
JOIN pg_stat_activity ON pg_stat_ssl.pid = pg_stat_activity.pid
ORDER BY ssl;

ssl 列の値が t であることは、接続が SSL を使用していることを示します。

SSLHandshakeException: DHPublicKey does not comply to algorithm constraints

原因：デフォルトの JDK 7 または JDK 8 のセキュリティ設定が、サーバーで使用される DH キーサイズを拒否します。

解決策：jre/lib/security/Java.security ファイルを次のように変更します。

jdk.tls.disabledAlgorithms=SSLv3, RC4, DH keySize < 224
jdk.certpath.disabledAlgorithms=MD2, RSA keySize < 1024

この変更を行った後、アプリケーションを再起動します。

SSL を有効にした後の接続拒否

原因：SSL が有効になった後、インスタンスがまだ再起動中です。

解決策：接続する前に、コンソールでインスタンスのステータスが [実行中] に戻るまで待ちます。

証明書の有効期限切れエラー

原因：SSL 証明書が 1 年間の有効期間を超えました。

解決策：コンソールで [有効期間の更新] をクリックして証明書を更新し、新しい証明書をダウンロードしてすべてのクライアントにデプロイします。